یک آسیب‌پذیری جدید از نوع تزریق کد (Code Injection) در سیستم مدیریت محتوای DedeCMS (نسخه‌های تا 5.7.118) شناسایی شده است. این نقص امنیتی به مهاجمانی که از قبل دارای دسترسی سطح بالا (Administrator) به پنل مدیریت هستند، اجازه می‌دهد تا با سوءاستفاده از یک پارامتر خاص، کدهای مخرب PHP را در سرور اجرا کنند.
جزئیات فنی و نحوه حمله
این آسیب‌پذیری در فایل dede/update_guide.php قرار دارد. مهاجم می‌تواند با ارسال یک درخواست دستکاری شده و استفاده از آرگومان vtime، باعث شود که تابع require_once یک فایل مخرب را فراخوانی و اجرا کند. این فرآیند منجر به اجرای کد از راه دور (Remote Code Execution یا RCE) در سطح سرور می‌شود.
- نوع آسیب‌پذیری: تزریق کد (CWE-94)
- مکان آسیب‌پذیری: فایل
dede/update_guide.php - پارامتر هدف: آرگومان
vtime - شرط لازم: داشتن احراز هویت سطح بالا (High-privilege authentication)
تحلیل ریسک و وضعیت اکسپلویت
اگرچه این آسیب‌پذیری منجر به RCE می‌شود، اما برخلاف حملات عمومی و بدون نیاز به احراز هویت، مهاجم حتماً باید ابتدا دسترسی ادمین به سیستم داشته باشد. این موضوع باعث می‌شود که ریسک آن بیشتر در قالب حملات داخلی (Insider Threats) یا به عنوان یک مرحله برای افزایش سطح دسترسی و ماندگاری (Persistence) پس از نفوذ اولیه مطرح باشد. در حال حاضر، یک PoC (اثبات مفهوم) عمومی در دسترس است، اما تایید نشده است که به طور کامل و عملیاتی کار کند و هیچ شواهدی از سوءاستفاده گسترده در لیست CISA KEV وجود ندارد.
اقدامات پیشنهادی و مقابله
از آنجایی که در زمان تحلیل، وصله (Patch) رسمی منتشر نشده است، اقدامات زیر برای کاهش سطح حمله توصیه می‌شود:
- حذف فایل حساس: توصیه می‌شود فایل
dede/update_guide.phpرا از محیط عملیاتی (Production) حذف کنید؛ زیرا این اسکریپت پس از نصب سیستم نیازی به آن نیست و حذف آن ریسک را به طور کامل از بین می‌برد. - محدودسازی دسترسی: دسترسی به دایرکتوری مدیریت (Admin Directory) را تنها به آدرس‌های IP مورد اعتماد محدود کنید.
- کنترل دسترسی: اطمینان حاصل کنید که تمامی حساب‌های ادمین از رمزهای عبور بسیار قوی و منحصر‌به‌فرد استفاده می‌کنند.
- مانیتورینگ و پایش: لاگ‌های دسترسی به پنل مدیریت را برای یافتن درخواست‌های غیرعادی به فایل
update_guide.phpکه حاوی مقادیر مشکوک در پارامترvtimeهستند، بررسی کنید.
